De nouvelles façons simples d’authentifier les personnes en prouvant leur valeur rapidement

Sécurité des informations    | 8 mai 2020

Il n’y a pas d’approche généralisée pour authentifier l’identité d’un individu. Aujourd’hui, l’utilisateur définit ce à quoi les solutions d’authentification devraient ressembler.

Comment confirmer que les personnes qui demandent l’accès à votre système et à vos fichiers sont celles qu’elles disent être ? Une manière de le vérifier est de leur demander de confirmer leur identité plusieurs fois avant de leur accorder l’accès. Il y eut dans le passé des expériences utilisateur maladroites, mais de nouvelles façons rationalisées d’authentifier les gens prouvent rapidement leur valeur.

Les mauvaises habitudes de mots de passe forment des vulnérabilités

Comme le dit le proverbe : Une chaîne n’est aussi forte que son maillon le plus faible. Le même mantra peut être appliqué à un programme de cybersécurité, où un seul verrou faible peut présenter une vulnérabilité critique pour l’ensemble du réseau d’une entreprise. Dans le cas de l’authentification, les erreurs internes des employés peuvent rendre obsolètes les verrous numériques les plus puissants. Les mots de passe étaient responsables de 80 % des accès indésirables en 2020.

Des mots de passe faibles ou faciles à deviner, comme « motdep@sse », à la réutilisation répétée des mots de passe sur plusieurs comptes, on ne peut pas faire confiance aux gens pour créer des clés donnant accès à des biens numériques. Mais si plusieurs verrous numériques sont créés, chacun nécessitant un facteur d’authentification unique pour accorder l’accès, il est théoriquement plus difficile de forcer l’accès.

Parlons des vulnérabilités inhérentes : authentifier au-delà du nom d’utilisateur et du mot de passe

L’utilisation de plusieurs méthodes d’authentification (MFA) aide à atténuer les vulnérabilités présentées par des mauvaises habitudes de mot de passe en exigeant des « facteurs » d’authentification supplémentaires avant d’accorder l’accès. Ces facteurs peuvent varier en termes de complexité, mais ils sont généralement uniques ou connus uniquement par l’individu. Cela garantit que si un seul facteur est compromis, deviné ou perdu, comme un mot de passe ou un PIN, d’autres facteurs, peut-être une date de naissance, sont là pour vérifier avec précision l’identité de la personne qui tente d’obtenir l’accès.

« Imaginez que quelqu’un essaie de pirater un compte et qu’il devine correctement le mot de passe d’un utilisateur », explique Chris Peel, VP Customer Engineering chez Echoworx. « Avec le MFA, ils peuvent essayer de se connecter, mais le propriétaire du compte obtient une alerte sur leur appareil mobile pour les informer que quelqu’un tente de se connecter. L’accès peut alors être refusé par la personne – en utilisant ce deuxième facteur d’authentification. »

Plaidons pour une authentification simple à utiliser

Il n’y a pas d’approche généralisée pour authentifier l’identité d’un individu. Le terme est vague et peut être appliqué à une variété de méthodes – de la soi-disant « forte authentification », une variante de l’authentification à deux facteurs désormais une exigence pour les transactions de plus de 30 € en Europe, à l’authentification hard-token, où un jeton physique est nécessaire pour avoir accès. Ces systèmes varient dans le niveau de sécurité qu’ils fournissent – certains entravant même délibérément l’expérience utilisateur pour souligner l’importance de l’accès qu’ils fournissent.

« Les gens n’accepteront pas plus de sécurité qu’ils ne pensent avoir besoin. » – Mark Risher de Google

L’utilisation des noms d’utilisateur/mots de passe a été créée à un moment où l’expérience utilisateur n’était pas une préoccupation majeure. Aujourd’hui, l’utilisateur définit ce à quoi les solutions d’authentification devraient ressembler. Les nouvelles variantes numériques contribuent à faire de l’authentification une expérience relativement simple – avec peu ou pas d’impact sur l’expérience utilisateur. Un portail bancaire, par exemple, peut demander à un client un mot de passe pour authentifier son identité. Mais, si des contrôles d’accès plus stricts sont nécessaires, la banque peut également exiger un mot de passe unique temporaire (TOTP) – un code aléatoire à usage unique temporaire – émis à partir d’une application installée sur le téléphone mobile du client. Cette vérification supplémentaire est effectuée par le client sans quitter son téléphone portable. La clé doit rester simple. Mark Risher, qui gère les systèmes d’identité de Google dit, « Les gens n’accepteront pas plus de sécurité qu’ils ne pensent avoir besoin. »

L’authentification fait partie intégrante de l’activité numérique

Si la confiance numérique est la nouvelle devise de l’expérience client, l’authentification est l’une des serrures qui retient tout en place. L’utilisateur moyen évalue la sécurité d’un e-mail en seulement 20 secondes avant de répondre en envoyant des informations personnelles, dit Echoworx dans un sondage qu’ils ont mené.  Pourtant, les trois quarts de ces mêmes personnes quitteront une entreprise qui manipule mal leurs données. Si l’on ne peut pas faire confiance aux gens pour protéger l’accès à leurs propres données, les organisations doivent s’assurer qu’une seule erreur numérique ne permet pas un accès frauduleux.

Pour s’assurer que les bonnes personnes aient accès aux bonnes informations, une authentification forte garantit aux organisations que l’ensemble de leur réseau ne sera pas compromis par une seule personne – ce qui aide à prévenir les accès indésirables.